Granjas de portátiles norcoreanas: redadas y dos detenidos

Las autoridades estadounidenses han detenido a dos hombres y registrado más de 40 presuntas "granjas de portátiles" en una ofensiva contra las redes que permiten a informáticos norcoreanos cobrar sueldos de empresas de EE. UU. Según el Departamento de Justicia, estos trabajadores usaban identidades robadas o inventadas para conseguir empleos en remoto en más de 70 compañías estadounidenses.

Una granja de portátiles es una vivienda u otro lugar dentro de EE. UU. donde se mantienen encendidos y conectados los ordenadores que entregan las empresas. Así, los trabajadores pueden conectarse en remoto desde el extranjero y aparentar que están en el país.

Dos detenidos por una acusación formal en Ohio

Michael James Bostelle, de Pensilvania, y Juan Cecilio Pena Carrillo, de Texas, fueron detenidos en virtud de una acusación formal presentada en Ohio. Se enfrentan a cargos de fraude electrónico, blanqueo de capitales y usurpación de identidad. La misma acusación incluye a diez acusados residentes en China. Otros dos no se han identificado públicamente porque sus identidades siguen bajo secreto.

Según la fiscalía, la trama estuvo activa desde 2019 hasta aproximadamente julio de 2025. Durante ese tiempo, los dos hombres y sus cómplices habrían recibido los portátiles que las empresas víctimas entregaban a sus supuestos empleados. Instalaban en los equipos software de acceso remoto y después transferían los sueldos, unos 3 millones de dólares, a cuentas controladas por Corea del Norte.

Las empresas afectadas pertenecen a los sectores sanitario, de las comunicaciones, del comercio minorista y de la industria manufacturera. Están repartidas por 17 estados y el Distrito de Columbia.

Operación Lonestar Roundup

Por otro lado, agentes del FBI en Texas registraron más de 40 presuntas granjas de portátiles entre el 21 y el 25 de septiembre. La operación, bautizada como Operation Lonestar Roundup, se saldó con la incautación de unos 187 portátiles y dispositivos KVM. Los conmutadores KVM (teclado, vídeo, ratón) permiten a una sola persona controlar varios ordenadores con un único juego de periféricos.

Ryan Raybould, fiscal federal del Distrito Norte de Texas, afirmó que el caso iba más allá de un simple fraude.

"Se trata de un régimen extranjero hostil que se infiltra en empresas estadounidenses mediante identidades robadas y puntos de acceso encubiertos dentro de nuestras propias fronteras. Cada granja de portátiles que desmantelamos corta una fuente de ingresos de la que depende el Gobierno norcoreano para financiar programas armamentísticos que amenazan la estabilidad mundial", declaró.

CrowdStrike ayudó al FBI a desarticular la operación. La empresa de seguridad estadounidense sigue la pista a los trabajadores norcoreanos y a quienes los ayudan bajo el nombre de "Famous Chollima".

En una entrada de su blog, CrowdStrike explicó por qué las granjas son tan importantes para el grupo. Según la compañía, resuelven problemas "físicos, financieros y legales" que los operativos no pueden gestionar fácilmente desde fuera del país. Sin alguien en suelo estadounidense, señaló la empresa, los trabajadores no podrían recibir ni configurar el equipo de la empresa, esquivar los controles antifraude basados en geolocalización ni superar los pasos de verificación de identidad que separan a los candidatos de un empleo real.

Colaboradores a sueldo y amenazas de extorsión

El FBI publicó ese mismo día un aviso a la ciudadanía. En él indicaba que la mayoría de los nombres y direcciones que los trabajadores facilitan a las empresas pertenecen a personas reales. Algunos de los operativos consiguieron puestos con acceso a datos personales sensibles. Robaron esos datos y los usaron en sus tramas y, en casos aislados, intentaron extorsionar a sus titulares.

La agencia también señaló que los trabajadores pagan cada vez a más estadounidenses para que los ayuden. Estos colaboradores dan la cara ante la cámara, se presentan a entrevistas de trabajo, verifican identidades falsas, ceden sus cuentas en redes sociales o redes profesionales o envían paquetes. Según el FBI, los operativos "se dirigen estratégicamente a personas con dificultades económicas".

"Estas acciones son ilegales y participar en ellas expone a las personas a ser investigadas por las fuerzas del orden", advirtió el FBI.

La agencia describió además comportamientos más agresivos. Tras ser despedidos, algunos trabajadores enviaron amenazas de muerte a sus antiguos responsables y a sus familias. Otros amenazaron con filtrar datos corporativos si no se les pagaba. El FBI calcula que entre el 85 y el 90 % del dinero que ganan los trabajadores va a parar al Gobierno norcoreano.

Una lista de casos cada vez más larga

Las detenciones se suman a una serie de procesos judiciales en EE. UU. contra personas que han apoyado estas tramas. En noviembre de 2025, cinco hombres admitieron haber ayudado a informáticos norcoreanos a conseguir empleo en empresas estadounidenses. En abril de 2026, dos hombres de Nueva Jersey fueron condenados a nueve años y a casi ocho años de prisión por su papel en una trama que reportó 5 millones de dólares a Corea del Norte.

Los investigadores también han detectado que presuntos trabajadores norcoreanos han dado el salto de la informática a puestos de ventas, marketing y sanidad.

Nuestro análisis

Este caso demuestra que el problema de los trabajadores remotos norcoreanos depende de personas dentro del país objetivo. Los trabajadores pueden falsificar nombres y currículos desde el extranjero, pero siguen necesitando a alguien que enchufe un portátil, reciba un paquete o se siente delante de una webcam. Eso convierte a la red de colaboradores locales en el eslabón más débil, y el FBI parece estar centrándose en ella, igual que en otros casos recientes contra redes de mulas de dinero que mueven ganancias delictivas.

Para las empresas, se trata de un riesgo interno que empieza en el proceso de selección. Encaja en una tendencia más amplia en la que los atacantes colocan a su propia gente dentro de las organizaciones en lugar de entrar desde fuera. Las amenazas denunciadas contra antiguos responsables indican que despedir sin más a un trabajador sospechoso puede no acabar con el riesgo.

Habrá que ver si el salto a puestos de ventas, marketing y sanidad empuja a las empresas a aplicar controles de identidad más estrictos en empleos que antes no se consideraban sensibles.